Ottenere un decryptor gratuito per il ransomware Fonix

Tratto da Blog Kaspersky

Autore: Hugh Aver – 04/02/2021

Quando il gruppo ransomware Fonix ha improvvisamente annunciato la fine della sua attività e ha pubblicato la master key per decifrare i file criptati, i nostri esperti hanno immediatamente aggiornato il tool Rakhni Decryptor per automatizzare il processo. Potete scaricarlo proprio qui.

L’esempio di Fonix illustra ancora una volta perché, anche se non avete intenzione di pagare il riscatto (ed è una scelta intelligente), dovreste comunque mantenere i dati cifrati. Non tutti i criminali informatici si pentono e pubblicano le loro chiavi (o vengono catturati e i loro server confiscati), ma se a un certo punto le chiavi diventano disponibili, è possibile utilizzarle per ripristinare l’accesso alle vostre informazioni, ma solo se le avete conservate ovviamente.

Perché Fonix era considerato pericoloso

Il ransomware Fonix era conosciuto anche come Xinof. I criminali informatici hanno utilizzato entrambi i nomi, e i file cifrati sono stati rinominati con entrambe le estensioni, .xinof o .fonix. Gli analisti hanno descritto il ransomware come abbastanza aggressivo: oltre a cifrare i file sui sistemi delle vittime, il malware manipolava il sistema operativo per ostacolare gli sforzi di rimozione. Cifrava praticamente tutti i file sul computer obiettivo, lasciando solo quelli critici per il sistema operativo.

Gli autori del malware hanno creato Fonix seguendo il modello di ransomware-as-a-service (RaaS), lasciando ai client il compito di occuparsi degli attacchi effettivi. Più o meno a partire dalla scorsa estate, sui forum dei cybercriminali è apparsa un’intensa attività di pubblicità del malware. Chi si serviva del ransomware all’inizio poteva farlo gratuitamente, dando a Fonix un vantaggio competitivo: gli autori prendevano solo una percentuale di qualsiasi riscatto ottenuto.

Di conseguenza, varie campagne non collegate tra loro hanno aiutato il malware a diffondersi, di solito attraverso messaggi di spam. E così Fonix ha colpito sia i singoli utenti che le aziende. Fortunatamente, il ransomware non ha guadagnato una grande popolarità, quindi le vittime sono state relativamente poche.

Il cybercrimine dentro il cybercrimine

Nel suo annuncio, il gruppo Fonix ha dichiarato che non tutti i membri erano d’accordo con la decisione di chiudere. L’amministratore del suo canale Telegram, per esempio, sta cercando di vendere il codice sorgente del ransomware e altri dati. Tuttavia, quel codice non è reale (almeno, secondo l’account Twitter del gruppo Fonix), quindi è essenzialmente una truffa rivolta agli acquirenti del malware. Anche se le uniche vittime potenziali qui sono altri cybercriminali, si tratta comunque di una truffa.

Le ragioni di questa scelta

L’amministratore del progetto FonixCrypter ha detto che non ha mai avuto intenzione di impegnarsi in attività criminali, ma la crisi economica lo ha portato a creare il ransomware. In seguito ha cancellato il codice sorgente e, mosso dalla coscienza sporca, si è scusato con le vittime e ha pubblicato la master key. In futuro, ha riferito, ha intenzione di impiegare la sua conoscenza di analisi dei malware per scopi più nobili e spera che i suoi colleghi si uniranno a lui in questa impresa.

Come difendersi dai ransomware

Fonix non è più un problema; tuttavia, nel 2021 esistono altre tipologie di ransomware e sono più attivi che mai. Il nostro consiglio per stare al sicuro è sempre lo stesso:

Diffidate delle e-mail con allegati;
Non eseguite file ottenuti da fonti non verificate;
Utilizzate soluzioni di sicurezza su tutti i dispositivi di casa e di lavoro che hanno accesso a Internet;
Eseguite copie di backup di tutti i dati critici e custoditeli su dispositivi non collegati alla rete.

I prodotti Kaspersky per utenti privati e aziende rilevano Fonix (e altri ransomware) in modo proattivo. Inoltre, i nostri file scanner identificano Fonix prima che abbia la possibilità di essere eseguito.

Per ribadire: se siete vittima del ransomware Fonix, potete recuperare i vostri dati utilizzando il nostro strumento RakhniDecryptor 1.27.0.0, che potete scaricare da NoRansom.kaspersky.com

Per ulteriori informazioni: dircom@argonavis.it

A caccia di mailing list

Tratto da Blog Kaspersky

Autore: Roman Dedenok – 03/02/2021

I criminali informatici stanno inviando e-mail di phishing per impossessarsi dell’accesso agli account ESP

Per quanto sia pericoloso che gli utenti privati pensino di essere troppo noiosi per attirare l’interesse dei criminali informatici, è anche peggio che lo credano i proprietari di piccole e medie imprese. Quando viene trascurata la protezione di base, per i criminali informatici è una manna dal cielo, perché i loro obiettivi non sono sempre quelli che ci potremmo aspettare. Un esempio è un messaggio che di recente è caduto nella nostra trappola: un messaggio di phishing che mira a violare l’account di un ESP, o Email Service Provider, per appropriarsi delle mailing list.

Come funziona

La truffa inizia con un dipendente di un’azienda che riceve un messaggio di conferma del pagamento di un abbonamento a un ESP. Il link nel messaggio dovrebbe dare al destinatario l’accesso alla prova d’acquisto. Se il destinatario è effettivamente un cliente dell’ESP (e il phishing prende di mira i clienti reali) è probabile che clicchi, sperando di capire perché si è verificato questo pagamento anomalo.

Anche se il link sembra reindirizzare a una pagina di un ESP, in realtà porta da tutt’altra parte. Cliccando sul link, le vittime si troveranno su un falso sito che assomiglia molto a una pagina di login legittima.

Ecco le due schermate di accesso. La pagina fasulla è sulla sinistra.

A questo punto, i lettori non saranno sorpresi nel vedere che qualsiasi dato inserito nella falsa pagina di login andrà direttamente ai criminali informatici che hanno organizzato la truffa. Da notare però che, oltre a reindirizzare da tutt’altra parte, il falso sito trasmette i dati che raccoglie su un canale non protetto. I cybercriminali non si sono nemmeno preoccupati di replicare il CAPTCHA, anche se hanno inserito un esempio nel campo dell’e-mail. Dovremmo vedere anche una bandiera nell’angolo in basso a destra ma è improbabile che la maggior parte degli utenti individui queste discrepanze.

Perché perdere l’accesso all’account di un ESP è pericoloso

Nel migliore dei casi, avendo ottenuto il controllo di un account ESP, i criminali informatici useranno la lista degli indirizzi e-mail dei clienti per inviare spam. Tuttavia, le mailing list specifiche del settore hanno un prezzo più alto sul mercato nero rispetto alle semplici raccolte di indirizzi e-mail casuali: conoscere la tipologia di lavoro di un’azienda aiuta i criminali informatici a personalizzare lo spam.

Data la specializzazione del phishing dei criminali informatici, è probabile che tutti coloro che si trovano nelle liste rubate riceveranno una e-mail di phishing che sembra provenire dall’azienda. A quel punto, sia che il destinatario si sia iscritto a una newsletter o che sia effettivamente un cliente, è probabile che apra il messaggio, lo legga e clicchi anche sul link in esso contenuto, dato che il mittente non sembra sospetto.

Metodi di mascheramento

Studiando l’e-mail di phishing in dettaglio, abbiamo scoperto che era stata inviata attraverso un servizio di mailing, ma diverso da quello vittima (un concorrente dell’ESP da cui sosteneva di provenire). È interessante notare che, per prolungare la vita della campagna, i criminali informatici hanno anche creato una landing page per la loro “azienda del settore marketing”. (Il titolo della pagina, “Simple House Template”, non è particolarmente convincente, però).

Una landing page per la falsa “azienda di marketing.”

Quanto sopra suggerisce che i criminali informatici potrebbero avere una conoscenza dettagliata dei meccanismi di vari servizi di mailing e potrebbero attaccare anche i clienti di altri ESP.

Come difendersi dal phishing

Per evitare di essere ingannati, seguite i nostri consigli:

Evitate di cliccare su link in messaggi non previsti, in particolare quelli che vi chiedono di accedere a un servizio. Anche se il messaggio sembra legittimo, aprite un browser e digitate manualmente il nome del sito;
Controllate la sicurezza del sito. Se il vostro browser non riconosce un sito come sicuro, allora qualcuno potrebbe intercettare username e password;
Imparate a individuare i tipici segnali di phishing, e poi parlatene con tutto il vostro staff. Non c’è bisogno di fare da sé: esistono delle piattaforme di formazione online per questo scopo;
Avvaletevi di soluzioni specializzate per filtrare lo spam e il phishing che entra nella casella di posta aziendale;
Installate e aggiornate una soluzione di sicurezza su tutti i dispositivi di lavoro di modo che, anche se qualcuno dovesse cliccare su un link di phishing, il pericolo sarà scongiurato.

Per ulteriori informazioni: dircom@argonavis.it

Kaspersky e i trend di sicurezza aziendale per il 2021

Tratto da LineaEDP

Autore: Redazione LineaEDP – 27/01/2021

Per Kaspersky le competenze in materia di security e gestione del cloud diventeranno fondamentali per gestire la sicurezza aziendale

Secondo quanto emerso da un nuovo report di Kaspersky, il lavoro da remoto accelererà il passaggio dal concetto di sicurezza aziendale perimetrale alla necessità di certificazioni di sicurezza per i micro uffici decentralizzati.

A sua volta, l’outsourcing delle funzioni IT e di cybersecurity sarà fondamentale per risolvere le carenze di competenze e risparmiare sulle spese.

Inoltre, per coordinare le attività dei managed service provider e il numero più alto di servizi cloud utilizzati, le competenze in materia di sicurezza e gestione del cloud diventeranno fondamentali.

Da quali rischi e minacce difendersi per la sicurezza aziendale

Sempre per Kaspersky, però, queste non saranno le uniche sfide nell’ambito della sicurezza informatica che le aziende dovranno affrontare nel corso del 2021.

Le difficoltà finanziarie causate dalla recessione economica e la crescita delle minacce informatiche dovute alla pandemia globale influenzeranno notevolmente il ruolo dei professionisti della sicurezza IT nel 2021.

Comprendere le sfide, così come saper riconoscere le opportunità nella gestione della cybersecurity e dell’IT sono elementi fondamentali per le aziende per difendersi da rischi e minacce. Il recente report di Kaspersky, “Plugging the gaps: 2021 corporate IT security predictions”, propone validi suggerimenti per tutti i professionisti che ricoprono un ruolo nel settore della sicurezza informatica, inclusi CEO e proprietari di aziende, CISO, responsabili del team SOC e manager IT.

I principali trend da monitorare nel 2021

La protezione del perimetro non sarà più sufficiente, diventeranno fondamentali anche la valutazione e la certificazione di sicurezza dell’ufficio domestico. Dovranno essere impiegati strumenti adatti ad analizzare il livello di sicurezza del luogo di lavoro – dalla presenza di vulnerabilità software alla connessione a un hotspot Wi-Fi inaffidabile o non protetto. Questo processo richiederà una più ampia adozione di VPN, la gestione degli accessi privilegiati, sistemi di autentificazione a più fattori, l’implementazione di un monitoraggio più rigoroso e l’aggiornamento dei piani di emergenza esistenti.

La transizione verso un modello di servizio consentirà di ottenere i livelli di sicurezza informatica richiesti con investimenti più bassi. Secondo il sondaggio di Kaspersky, in Italia sei aziende su dieci (59%) hanno dichiarato di avere già in programma di utilizzare un Managed Service Provider (MSP) o un Managed Security Service Provider (MSSP) nei prossimi 12 mesi . Questo è un dato positivo, in quanto questa scelta consentirà di ridurre al minimo gli investimenti di capitale e di promuove la transizione delle spese aziendali da CapEx a OpEx.

La formazione degli esperti di cybersecurity dovrebbe includere anche competenze manageriali. I ruoli professionali nell’ambito della sicurezza informatica sono molto specializzati, di conseguenza assumere personale per ogni specifico compito può diventare troppo costoso. In questo caso, può tornare utile una strategia di outsourcing. Tuttavia, le aziende che esternalizzano le principali funzioni di cybersecurity hanno anche bisogno di concentrarsi sullo sviluppo di competenze manageriali per il loro team interni in modo che imparino a gestire queste funzioni in outsourcing.

Crescerà ulteriormente l’utilizzo di servizi cloud, rendendo necessaria l’introduzione di apposite misure di gestione e protezione. L’indagine di Kaspersky ha mostrato come nel 2020 il 90% delle aziende italiane ha utilizzato servizi cloud e software non aziendali, inclusi social network, app di messaggistica o planning. Difficilmente questa tendenza cambierà quando i dipendenti torneranno in ufficio. Per garantire che tutti i dati aziendali siano al sicuro, sarà necessario avere maggiore visibilità e controllo sugli accessi al cloud. I responsabili della sicurezza IT dovranno rispettare questo paradigma e sviluppare competenze per la gestione e la protezione del cloud.

Oltre all’utilizzo di nuove pratiche di sicurezza informatica, sarà fondamentale anche la qualità degli strumenti utilizzati. Un livello di protezione alto e una gestione senza interruzioni sono aspetti fondamentali nella scelta delle soluzioni di cybersecurity.

Come sottolineato in una nota ufficiale da Alexander Moiseev, Chief Business Officer presso Kaspersky: «Abbiamo avuto modo di osservare due nuove tendenze rispetto a ciò che i clienti si aspettano dalle offerte di cybersecurity aziendale. In primo luogo, la qualità della protezione non è più in discussione: ora è assolutamente imprescindibile. In secondo luogo, gioca un ruolo fondamentale la completa integrazione tra i vari componenti della sicurezza informatica aziendale, ancora meglio se forniti da un unico provider. In passato, nel settore si era diffusa la convinzione che la combinazione di varie soluzioni specializzate ottenute da diversi fornitori potesse offrire la migliore soluzione di sicurezza. Ora, le organizzazioni stanno cercando un approccio più unitario con la massima integrazione tra le diverse tecnologie di security».

Allerta da Kaspersky per gli utenti italiani di WhatsApp

Tratto da LineaEDP

Autore: Redazione LineaEDP – 13/01/2021

Kaspersky rileva una nuova truffa di phishing rivolta agli utenti italiani che sfrutta WhatsApp per carpire i loro dati bancari

I ricercatori di Kaspersky hanno rilevato una nuova truffa che vede come protagonista WhatsApp, la nota applicazione di messaggistica istantanea utilizzata da oltre due miliardi di persone in 180 Paesi.

La nuova truffa, rivolta agli utenti italiani di WhatsApp, è stata inizialmente rilevata il 30 dicembre 2020 ed è ancora attiva.

Il metodo usato è un classico schema di phishing: l’utente riceve una e-mail in cui viene avvisato che il proprio account WhatsApp è prossimo alla scadenza e viene dunque invitato a rinnovare la registrazione entro 24 ore per evitare di perdere messaggi, foto e video condivisi. Per completare l’operazione, l’utente può pagare tramite carta di credito il rinnovo del servizio per 1 fino a 5 anni, inserendo il codice della propria carta e altre informazioni riservate come CVC e password-3D-secure.

Lo scopo di questa truffa è, infatti, carpire i dati bancari degli utenti.

Il phishing è un’attività relativamente semplice e a basso costo e i criminali informatici continuano a farne ampio uso. Secondo quanto emerso dal report di Kaspersky, infatti, nel terzo trimestre del 2020 la quota media di spam nel traffico postale globale è stata del 48,91%, mentre il sistema Anti-Phishing di Kaspersky da solo ha impedito 103.060.725 tentativi di reindirizzare gli utenti verso pagine fake.

Per proteggersi dal phishing, i ricercatori di Kaspersky raccomandano di:

Verificare che i messaggi provengano da fonti affidabili
Non cliccare i link da e-mail o messaggi sospetti
Verificare l’autenticità dei siti web visitati
Installare una soluzione di sicurezza con database aggiornati che includano la conoscenza delle più recenti risorse di phishing e spam.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Kaspersky rileva somiglianze di codice tra Kazuar e Sunburst

Tratto da LineaEDP

Autore: Redazione LineaEDP – 12/01/2021

Gli esperti di Kaspersky hanno rilevato numerose somiglianze di codice tra Sunburst e le versioni note della backdoor Kazuar

Il 13 dicembre 2020, FireEye, Microsoft e SolarWinds hanno annunciato la scoperta di un sofisticato attacco su larga scala alla supply chain per il quale è stato implementato “Sunburst”, un malware precedentemente sconosciuto che ha preso di mira i clienti della piattaforma IT Orion di SolarWinds.

Gli esperti di Kaspersky hanno rilevato numerose somiglianze di codice tra Sunburst e le versioni note della backdoor Kazuar, una tipologia di malware che fornisce l’accesso remoto al dispositivo preso di mira. Queste nuove informazioni hanno fornito ai ricercatori elementi utili per proseguire le indagini sull’attacco.

L’analisi della backdoor Sunburst ha permesso agli esperti di Kaspersky di rilevare una serie di caratteristiche simili a quelle della già nota Kazuar, una backdoor scritta utilizzando il framework .NET, individuata per la prima volta da Palo Alto nel 2017 ed utilizzata in attacchi di spionaggio informatico in tutto il mondo.

Kazuar e Sunburst: c’è relazione, ma è ancora da chiarire

Le numerose analogie nel codice suggeriscono che ci sia una relazione, di natura ancora indeterminata, tra Kazuar e Sunburst. Le caratteristiche comuni tra Sunburst e Kazuar comprendono l’algoritmo di generazione UID della vittima, l’algoritmo usato per calcolare i tempi di “sleep” e l’uso estensivo dell’algoritmo di “hashing” FNV-1a. Secondo quanto osservato dai ricercatori, i frammenti di codice non sarebbero del tutto identici pertanto, Kazuar e Sunburst, potrebbero essere collegati ma resta ancora da chiarire la natura di questa relazione.

Dopo la prima comparsa del malware Sunburst nel febbraio 2020, Kazuar ha continuato a evolversi. Le sue successive varianti, osservate a partire dal 2020, sono per certi versi ancora più simili a Sunburst.

Nel complesso, durante gli anni dell’evoluzione di Kazuar, gli esperti hanno osservato un continuo sviluppo, in cui sono state aggiunte caratteristiche significative che assomigliano a Sunburst. Tuttavia, le evidenti analogie tra i due malware potrebbero dipendere da diverse ragioni. Ad esempio, Sunburst potrebbe essere stato sviluppato dallo stesso gruppo che ha ideato Kazuar o i suoi sviluppatori potrebbero essersi ispirati a quest’ultimo. O ancora, uno sviluppatore di Kazuar potrebbe essersi unito al team di Sunburst o entrambi i gruppi avrebbero ottenuto il loro malware dalla stessa fonte.

Come sottolineato in una nota ufficiale da Costin Raiu, direttore del Global Research and Analysis Team di Kaspersky: «Il legame riscontrato tra i due malware, sebbene non permetta di stabilire con certezza chi sia l’autore dell’attacco a SolarWinds, fornisce ai ricercatori degli indizi utili all’indagine. Riteniamo importante che altri esperti di tutto il mondo analizzino queste somiglianze per raccogliere nuove informazioni su Kazuar e sull’origine di Sunburst, il malware utilizzato per la violazione di SolarWinds. Guardando, ad esempio, all’attacco Wannacry, erano stati riscontrati pochissimi elementi riconducibili al gruppo Lazarus. Con il tempo, sono state raccolte ulteriori prove che hanno permesso a noi e ad altri ricercatori di trovare questo legame. Continuare a indagare è fondamentale per scoprire questo tipo di collegamenti».

Protezione in sole due mosse

Per proteggersi da malware simili alla backdoor che ha preso di mira SolarWinds, Kaspersky raccomanda di:

Fornire al SOC team l’accesso alla più recente threat intelligence (TI). Kaspersky Threat Intelligence Portal consente di accedere alla TI dell’azienda e fornisce dati sui cyber-attacchi e approfondimenti raccolti da Kaspersky in oltre 20 anni di esperienza nel settore.

Le organizzazioni che desiderano condurre le proprie indagini possono usufruire di Kaspersky Threat Attribution Engine, che confronta il codice dannoso scoperto con i database di malware e, basandosi sulle somiglianze di codice, lo attribuisce alle campagne APT già note.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Perché Fonix era considerato pericoloso

Il cybercrimine dentro il cybercrimine

Le ragioni di questa scelta

Come difendersi dai ransomware

Come funziona

Perché perdere l’accesso all’account di un ESP è pericoloso

Metodi di mascheramento

Come difendersi dal phishing

Da quali rischi e minacce difendersi per la sicurezza aziendale

I principali trend da monitorare nel 2021

Kazuar e Sunburst: c’è relazione, ma è ancora da chiarire

Protezione in sole due mosse

Categorie